Le bon, la brute et le truand : retour d’expérience dans les audits de code

Magazine
Marque
MISC
Numéro
61
Mois de parution
mai 2012
Domaines


Résumé

Cet article est un retour d'expérience d'audit de code qui présente les vulnérabilités les plus fréquemment rencontrées. Cet article n’a pas pour objet de représenter l’exploitation de vulnérabilités complexes, mais plutôt des cas simples.


1. Introduction

L'audit de code n'a jamais eu vraiment la cote chez les consultants en sécurité : l’aspect « challenge » est beaucoup moins prononcé par rapport à un test d'intrusion en boîte noire. De plus, lire des milliers de lignes de code, identifier l'arborescence d'appels de fonctions à la recherche d’un mécanisme de sécurité est plus rébarbatif que d'insérer des quotes dans un formulaire de recherche d'une page web.

Contre toute attente, en 2010 l'ARJEL (Autorité de Régulation des Jeux En Ligne [1]) a remis au goût du jour cette pratique boudée avec les audits applicatifs intrusifs, qui consiste à combiner un test d'intrusion et un audit de code afin de pouvoir examiner l'application sous toutes les coutures. Les résultats sont en effet bien plus efficients.

L'approche d’un audit de code est totalement différente d'un test d'intrusion, mais l’objectif est le même : mettre en évidence les défauts de sécurité de l'application...

Cet article est réservé aux abonnés. Il vous reste 95% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Exploration du standard HITAG2 utilisé pour le verrouillage des véhicules grâce à la SDR

Magazine
Marque
MISC
Numéro
114
Mois de parution
mars 2021
Domaines
Résumé

Depuis de nombreuses années, l’ouverture des véhicules ne se fait plus en insérant une clé dans une serrure mécanique comme c’était le cas auparavant. Le verrouillage, et même parfois l’allumage des phares, peuvent être réalisés à partir d’une transmission radio entre la clé et le véhicule. Cette fonctionnalité, devenue essentielle, doit nous questionner sur la sécurité mise en œuvre. Nous allons voir que jusqu’à récemment, beaucoup de systèmes de verrouillage déployés sont vulnérables à des attaques peu sophistiquées qui nécessitent peu de moyens.

Mise en pratique du pentesting

Magazine
Marque
Linux Pratique
HS n°
Numéro
50
Mois de parution
février 2021
Domaines
Résumé

La lecture des articles précédents vous a donné envie de vous essayer au pentesting, envie que vous aviez même peut-être déjà. Nous allons désormais passer à la pratique, en mettant en application les concepts théoriques abordés dans le premier article.

Introduction au pentesting

Magazine
Marque
Linux Pratique
HS n°
Numéro
50
Mois de parution
février 2021
Domaines
Résumé

Il n’y a plus une semaine sans qu’une grande entreprise ne révèle publiquement qu’elle a été victime d’un piratage informatique. Entreprises privées, institutions publiques, et même sociétés de services spécialisées dans la cybersécurité, aucun secteur n’est épargné. Des technologies en évolution et en augmentation perpétuelles, et la prolifération incessante d’équipements connectés (IoT) ne vont pas inverser la tendance, mais bien au contraire élargir la surface d’attaque et donc augmenter les piratages.

Introduction au dossier : Réalisez votre premier pentest pour sécuriser votre système

Magazine
Marque
Linux Pratique
HS n°
Numéro
50
Mois de parution
février 2021
Domaines
Résumé

Dans cette série d’articles, je vais vous faire une introduction au pentesting. Non, je ne ferai pas de vous des pirates informatiques. Nous resterons dans la légalité, et vous découvrirez ce qu’est un Ethical Hacker, quelqu’un qui teste le système informatique d’un client, avec son approbation et son consentement, pour l’aider à renforcer sa sécurité informatique.